plex2shell-windows-hunt

Plex2Shell に関する脅威インテリジェンスと、読み取り専用の Windows/Linux 侵害チェック: CVE-2026-96652、-96654、-96655、-96656。これら4つの脆弱性は連鎖し、1.43.3.10861 より前のバージョンの Plex Media Server において未認証の RCE に至ります。

ファイル	内容
`Plex2Shell_IOC_IOA_Dossier.md`	IOC、IOA、エクスプロイトチェーン、Windows の痕跡、およびチェッカースクリプトが正当かどうかを判断する基準
`Invoke-Plex2ShellHunt.patched.ps1`	読み取り専用のハントスクリプト (Windows PowerShell 5.1 / PowerShell 7+)
`reference/`	サードパーティの検出コンテンツ (下記参照)

使用方法

Plex ホスト上の管理者権限の PowerShell プロンプトから実行します:

.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence

このスクリプトはシステムを読み取るだけです。自身のレポートフォルダ (%TEMP%\Plex2ShellHunt_<host>_<timestamp>) 以外には何も書き込まず、ネットワーク通信も行いません。

終了コード	意味
0	クリーン
1	脆弱なバージョンのみ
2	不審
3	侵害された可能性が高い
4	侵害済み

元のスクリプトからの変更点

元のスクリプトの SHA-256 は a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871 です。

G1: Plex Transcoder.exe の終了後に切り離された rundll32 …\Codecs\…dll,RunShell ペイロードホストを検出します。また、すべてのプロセスについて読み込まれている Codecs DLL を検査し、それらのプロセスからの外部接続をフラグ付けします。
G2: dump-yuv で書き込まれたファイルの形状を、使用されたパディングバイトに関係なく検出します: マップされていない PE または ELF のオーバーレイ、ほぼ均一な末尾、および繰り返されるフレームです。
G3: 同じフォルダ内の他のファイルの命名パターンを破るコーデック名をスコアリングします。Windows では、hevc_decoder.dll は 正規の コーデックであり、PoC はこれをインプレースで上書きするため、名前だけでは情報 (Info) としてのみ報告されます。
修正: .Modules リストが $null である保護されたプロセスが、エラーを発生させなくなりました。

2026-10-21 に PMS 1.43.5.11029 (Windows 11、PowerShell 5.1) で実地テスト済みです。結果はクリーンで、エラーも誤検知もありませんでした。

サードパーティコンテンツ

reference/ 内のファイル (plex2shell.yar、plex2shell-hunt.sh、pms_malicious_sample.log) は、コミット 24e07c02 の code-zm/plex2shell から無改変でコピーされたものです。© the plex2shell authors、GPLv3 ライセンス: reference/LICENSE-plex2shell-GPLv3 を参照してください。

plex2shell-windows-hunt

人気

plex2shell-windows-hunt

使用方法

元のスクリプトからの変更点

サードパーティコンテンツ

出典